PHP açığı sonrası akıllı ev cihazları ne kadar güvende?

PHP programlama dilindeki güvenlik açıklarının ortaya çıkmasından bu yana siber güvenlikle ilgili sorular artmış durumda. Bu açık üzerinden sunucuların ve web sitelerinin ele geçirilip kötüye kullanılabileceği belirtiliyor. Hollanda Ulusal Siber Güvenlik Merkezi (NCSC), kameralı kapı zili, akıllı çamaşır makinesi veya robot süpürge gibi cihazlarda da PHP bulunabileceği uyarısında bulunuyor. NCSC'den Juriaan Spierenburg, tüm bu cihazları internete bağlamanın gerçekten gerekli olup olmadığının düşünülmesini öneriyor.

Pazar araştırma şirketi Multiscope'a göre Hollanda'daki konutların yaklaşık yüzde 30'unda internete bağlanabilen bir veya birden fazla ev aleti bulunuyor. Peki bu cihazlar hâlâ güvenle kullanılabilir mi?

Uzmanlara göre risk düşük

NCSC'ye göre PHP açığının geniş çaplı kötüye kullanılma riski ilk başta düşünüldüğünden daha az; açığı bu şekilde kullanmak zor. Yine de cihazlara, uygulamalara ve web sitelerine düzenli olarak güncelleme yapılması tavsiyesi geçerliliğini koruyor.

Güvenlik şirketi Computest'ten Daan Keuper, akıllı ev aletlerinin hacklenme riskinin çok yüksek olmadığını söylüyor. Bunun için saldırganın ürünle bağlantı kurabilmesi gerekiyor. Keuper, "Çoğu akıllı cihazın dışarıya bağlantı kurabilen bir telefonu olduğu söylenebilir, ancak aranabilecek bir numaraları yok ve bu durumda risk az olur" diyor.

Siber güvenlik uzmanı Ralph Moonen ise çoğu akıllı cihazın doğrudan internete bağlı olmadığını belirtiyor. "Wi-Fi'ye bağlılar ve arada bir yönlendirici var" diyen Moonen, bu ürünlerle ancak aynı Wi-Fi ağına giriş yapıldığında bağlantı kurulabileceğini ifade ediyor.

TU Delft'ten Michel van Eeten, yönlendirici üzerinden akıllı çamaşır makinesine sızmanın olası görünmediğini söylüyor. "Yönlendiricilerde neredeyse hiç PHP bulunmaz" diyor.

Moonen'a göre akıllı kapı zilleri tüketicinin ağı üzerinden neredeyse hiç hacklenemez. "Hack'in üreticinin sunucusu üzerinden gerçekleşmesi daha olası. O zaman güvenlik açığı tüketicide olmaz" diye konuşuyor.

NCSC'den Spierenburg, bu sorumluluğun üreticide olduğunu belirtiyor. "Tedarikçiler kendi sistemlerini güvenli tutmakla yükümlü. Bunun için yeni bir mevzuat da var: Cyber Resilience Act" diyor. Spierenburg, çoğu tedarikçinin buna uyacağını tahmin ediyor ancak "farklı ülkelerdeki tüm tedarikçilerin kısa sürede güncellenip güncellenmeyeceğini bilmiyorum" diye ekliyor.

Evde risk oluşturabilecek bir diğer unsur ise Ağa Bağlı Depolama (NAS) cihazları, yani ağınıza bağlı bir sabit disk. Moonen, "Tatil adresinizden bilgisayarınız veya telefonunuzla giriş yaparak fotoğraf yükleyebilirsiniz. Yani dışarıdan bağlantı kurabilirsiniz" diyor.

Spierenburg, eski cihazlara karşı uyarıyor. "Bu cihazlar PHP'nin eski bir sürümünü kullanıyor olabilir ve artık güncelleme almıyorlardır."

Uzmanlar, tüketicilerin ürünlerinin PHP ile yapılıp yapılmadığını anlamasının neredeyse imkânsız olduğunu belirtiyor. "Bu çok teknik bir konu. Birçok şirket PHP'yi nerede kullandığını bile bilmiyor" diyor Moonen.

Yine de güvenlik önlemi almak isteyenler tüm güncellemeleri yapmalı. Spierenburg, "Ve tüm akıllı cihazların yalnızca kendi ev ağınız üzerinden erişilebilir olmasını sağlayın. Alternatif olarak kendi güvenlik duvarınızı veya VPN'inizi kurmayı düşünün" diyor.

Van Eeten ise internete açık bir cihazı birkaç gün kapatmayı öneriyor: "Ve tedarikçinin ne yapacağını bekleyin."